PHP安全配置缺失易导致远程代码执行、文件包含漏洞等风险。未禁用exec、system等危险函数或开启allow_url_include，攻击者可利用漏洞执行任意命令或包含恶意文件，进而控制服务器、窃取数据，甚至引发大规模安全事件。
PHP在服务器上执行，本质上就是运行代码，这些代码可以访问文件系统、数据库，甚至调用系统命令。如果不进行适当的安全配置，恶意代码或存在漏洞的PHP应用就可能被利用，导致数据泄露、服务器被入侵，甚至成为僵尸网络的一部分。安全配置是构建第一道防线的关键，它限制了PHP可能造成的损害范围，保护了整个服务器环境。
保护PHP在线执行环境的安全，首先要从
php.ini配置文件入手，这是最直接也最关键的防线。
-
禁用危险函数： 许多PHP函数虽然强大，但在Web环境中却可能被滥用。
disable_functions = exec, passthru, shell_exec, system, proc_open, popen, curl_exec, curl_multi_exec, parse_ini_file, show_source, symlink, link, pcntl_exec, dl
这样的配置能大幅降低命令注入的风险。当然，具体禁用哪些，需要根据你的应用实际需求来权衡，别一刀切把必要的也禁了。 -
限制文件系统访问：
open_basedir
是个好东西，它能将PHP脚本可以访问的文件限制在特定目录内。比如open_basedir = /var/www/html/:/tmp/
，这样即使应用被攻破，攻击者也难以跳出这个范围。 -
关闭远程文件包含：
allow_url_fopen = Off
和allow_url_include = Off
是必须的。这能有效防止通过URL远程包含恶意文件或脚本。 -
错误报告与日志： 在生产环境中，
display_errors = Off
是基本要求，错误信息不应该暴露给用户。但同时，log_errors = On
并配置好error_log
路径，确保所有错误都被记录下来，便于后续审计和问题排查。 -
资源限制：
memory_limit
,max_execution_time
,max_input_time
这些参数限制了单个PHP进程能消耗的资源，防止DDoS攻击或无限循环的脚本耗尽服务器资源。 -
上传文件安全：
file_uploads = On
如果需要上传，但务必配合upload_max_filesize
和post_max_size
限制大小，更重要的是，上传目录的执行权限要严格控制，并且对上传的文件进行严格的类型、内容校验，不要直接用用户提供的文件名。 -
Session安全：
session.cookie_httponly = 1
和session.cookie_secure = 1
(如果使用HTTPS) 能有效防范XSS攻击窃取Session。session.use_strict_mode = 1
也能防止Session固定攻击。 -
关闭或限制PHP信息泄露：
expose_php = Off
能阻止PHP在HTTP响应头中显示其版本信息，减少攻击者收集情报的机会。
PHP安全配置缺失会引发哪些常见的服务器安全风险？
如果说PHP是一把双刃剑，那未加安全配置的PHP环境简直就是把刀刃朝向了自己。我见过太多因为疏忽而导致的惨剧，总结起来，常见的安全风险无非以下几类，每一种都足以让运维人员头疼不已：
立即学习“PHP免费学习笔记（深入）”；
首先是远程代码执行（RCE）。这简直是所有攻击者的终极目标。当
disable_functions形同虚设，或者
allow_url_include被开启时，攻击者一旦找到任何上传点或文件包含漏洞，就能轻松地在你的服务器上执行任意PHP代码，甚至系统命令。想想看，一个简单的
system('rm -rf /')就能让你的心血付诸东流。这不仅仅是数据丢失，更是整个服务器的控制权拱手让人。
其次是文件包含漏洞（Local File Inclusion/Remote File Inclusion, LFI/RFI）。虽然现在很多框架已经很好地规避了这类问题，但在一些老旧系统或自定义代码中，如果未对用户输入进行严格过滤，并且
allow_url_include或
allow_url_fopen被开启
